Hay biết bao nếu không phải lo bị hack?
Hãy tưởng tượng bạn tập trung hoàn toàn scale business mà không sợ hacker làm phiền.
Đó là điều chứng chỉ SSL giúp bạn. Khi cài đặt, bạn không còn lo hacker khai thác dữ liệu.
Đã đến lúc đạp ga scale business.
Nhưng, đừng vội…
… một số phần website vẫn bị Google Chrome đánh dấu "Not Secure" (Không an toàn).
Đáng sợ hơn vì cảnh báo xuất hiện không phải trang tùy ý mà chính khu vực đăng nhập. Một số bạn thấy trên trang admin.
Chúng tôi không cần nói việc truyền dữ liệu đăng nhập qua trang không an toàn nguy hiểm ra sao.
Gần 10 năm qua, chúng tôi làm việc với nhiều client site bị hack, business suýt sụp đổ.
Chúng tôi sẽ chỉ chính xác các bước bảo vệ trang đăng nhập và khu vực admin.
TL;DR: Để gỡ cảnh báo "Not Secure", cài Easy HTTPS Redirection lên website. Nó giúp ép trang login và admin chạy qua HTTPS. Tuy nhiên, chỉ SSL không bao giờ bảo vệ trang đăng nhập khỏi hacker/bot. Bạn cần triển khai biện pháp bảo vệ đăng nhập để hacker không xâm nhập.
Thực sự令人沮丧 khi cài SSL mà Google vẫn báo site không an toàn. Nhưng tin chúng tôi, đó là vì sao bạn.
Bạn vẫn thấy "Not Secure" vì chứng chỉ chưa được cấu hình đúng cho những khu vực đó.
Hãy tưởng tượng: Không có cảnh báo, bạn và team tiếp tục đăng nhập mà không ngờ credential, nếu bị lấy, sẽ bị khai thác.
Thông tin đăng nhập của bạn đang ở rủi ro. Google nhắc nhở. Bây giờ đến lượt bạn cứu site.
Bạn hiểu lẽ muốn fix login/admin nhưng đáng giá nhận ra sai lầm dẫn đến vấn đề.
Để hiểu tại sao SSL không cài đúng cho một số khu vực, nhảy đến phần dưới.
Lưu ý: Nếu Chrome báo 'Not Secure' cho trang KHÔNG phải login/admin, bài này có thể không phù hợp. Bài này CHỈ cover fix login/admin. Trường hợp đó, hãy đọc bài: How to Fix Mixed Content Error.
Gỡ Cảnh Báo "Not Secure" Khỏi Trang Đăng Nhập & Admin WordPress
Bạn đã biết quy trình: Cài SSL để gỡ "Not Secure".
Nhưng không hiệu lực cho login/admin. WordPress login says not secure, admin dashboard cũng vậy.
Giờ làm sao?
Chỉ có một giải pháp: ép buộc cả hai trang phục vụ qua SSL.
Bạn làm được 2 cách – cách dễ hoặc cách khó.
- Dùng plugin làm hộ (cách dễ)
- Hoặc vào backend site, edit file cụ thể ép SSL (cách khó)
Chúng tôi khuyên cách dễ. Nhưng nếu không muốn thêm plugin cho site đã quá nhiều plugin, chọn cách thủ công.
Thành thật nói: Chúng tôi KHÔNG khuyến nghị cách thủ công vì nó rủi ro cao. Chúng tôi thấy sai lầm hàng trăm lần. Hậu quả sai sót ở backend rất xấu. Bạn không muốn vướng thêm vấn đề.
Dù vậy, chúng tôi vẫn chỉ cách thủ công. Nếu bạn tự tin tìm đường backend hoặc hôm nay cảm thấy mạo hiểm, cứ làm nhưng PHẢI backup đầy đủ website TRƯỚC. KHÔNG được bỏ qua bước này.
Dù bạn làm theo hướng dẫn khéo cỡ nào, khi chuyện xấu xảy ra, bạn sẽ hối hận không có backup fallback. Nếu chưa có backup plugin, bài này giúp chọn nhanh – Best WordPress Backup Plugins.
Nếu không muốn loay hoay chọn backup, thì làm sao thử fix trên staging site trước.
Staging site là bản sao y hệt live site. Nếu staging ok, fix live cũng ok.
> Tạo Staging Site
a. Tải và cài BlogVault lên WordPress.
b. Option BlogVault xuất hiện menu dashboard. Chọn đó.
c. Nhập email ID, click Get Started.
d. BlogVault yêu cầu tạo tài khoản. Chỉ cần nhập password.
e. Tiếp, thêm site vào BlogVault dashboard. Click Add.
f. BlogVault bắt đầu backup hoàn chỉnh site. Đợi xong.
g. Trên BlogVault dashboard, click Sites chọn website của bạn.
h. Cuộn xuống Staging chọn Add Staging > Submit. BlogVault tạo staging site.
i. Khi staging ready, bạn nhận username và password. Ghi nhớ đâu đó. Cần cho bước sau.
j. Bước tiếp: mở staging site bằng cách click Visit Staging Site.
k. Ngay khi staging mở tab mới, nhập username/password ghi ở bước trước. Staging được bảo vệ bằng password chống truy cập trái phép.
l. Bây giờ truy cập staging site. Thêm /wp-admin/ cuối URL để mở trang login.
m. Đăng nhập staging với credential site live.
Xong, tiếp theo chúng tôi chỉ cách gỡ "Not Secure" trên login/admin bằng plugin.
1. Gỡ "Not Secure" Bằng Plugin
Bước 1: Easy HTTPS Redirection
a. Sau khi đăng nhập staging, vào Plugins > Add Plugin, search Easy HTTPS Redirection. Cài và kích hoạt iThemes.
b. Trên admin dashboard, vào Settings > HTTPS Redirection.
d. Trang sau, thực hiện:
Thứ nhất: chọn option Enable automatic redirection to the "HTTPS"
Chuyển option tiếp: Apply HTTPS redirection on. Chọn A few pages và nhập URL:
- wp-login.php
- wp-admin/
Điều này ép buộc login và admin area phục vụ qua SSL.
Bước 2: Kiểm Tra Login & Admin Area
a. Reload admin area. Nên thấy ổ khóa thay vì "Not Secure".
b. Đăng xuất và check trang login. Nên thấy ổ khóa thay vì "Not Secure".
Nếu thấy ổ khóa… đừng hoang mang!
Có thể do cache. Clear cache theo hướng dẫn – How to Clear WordPress Cache?
c. Check toàn bộ site xem hoạt động tốt. Ít liên quan SSL, nhiều hơn plugin bảo mật mới cài.
Có khả năng plugin mới làm hỏng site.
Check tất cả trang quan trọng: home, blog, checkout, cart, ads, subscription boxes, contact forms.
Все ổn?
Tốt! Đi bước tiếp.
Bước 3: Lặp Lại Trên Live Site
2 cách tiến từ đây:
- Mở live site, cài iThemes Security, làm theo Bước 1.
- Hoặc dùng BlogVault Merge option merge staging vào live site.
Dùng merge dễ hơn, bạn nên thử.
Nhưng nếu chán học tool mới, chỉ cài iThemes lên live site. Bạn sẽ ổn.
2. Gỡ "Not Secure" Thủ Công
Để gỡ thủ công, chỉ cần edit file wp-config và chèn code.
Edit wp-config rủi ro, dù bạn đã edit hàng trăm lần.
Để giảm sai sót, chúng tôi khuyên edit config trên staging site. Chúng tôi chỉ chính xác.
Bước 1: Tạo Staging Site
Click tiêu đề trên sẽ "dịch chuyển" bạn đến tutorial tạo staging site < 3 phút.
Bước 2: Ghi SFTP Details
a. Mở BlogVault dashboard. Chọn website.
b. Từ Staging section, chọn symbol >
c. Ghi SFTP details: Username, Password, Host, Port.
Bước 3: Dùng SFTP Credential Edit Config File
a. Tải và cài Filezilla lên máy local.
b. Mở Filezilla. Trên cửa sổ thấy options: Host, Username, Password, Port.
Nhập SFTP credential, click Quickconnect.
Trên Filezilla có 4 panel: Local Site, Remote Site, Filename.
c. Panel Remote Site, folder public_html xuất hiện. Click.
d. Panel dưới Remote Site populate file/folder. Bạn thấy file wp-config.php ở đó.
e. Right-click wp-config.php chọn View/Edit.
f. Chèn code sau vào wp-config:
define(‘FORCE_SSL_ADMIN’, true);
QUAN TRỌNG: Đảm bảo chèn TRƯỚC dòng: /* That's all, stop editing! Happy blogging. */
g. Đóng file. Hỏi có lưu không. Chọn Yes.
Bước 4: Kiểm Tra Login & Admin Area Staging Site
a. Mở BlogVault dashboard. Chọn website.
b. Từ Staging section, ghi username/password.
c. Cùng section, click URL staging site. Mở tab mới.
d. Ngay khi mở site, nhập username/password ghi ở bước trước. Staging bảo vệ bằng password.
e. Mở login page bằng cách thêm /wp-admin/ cuối URL.
- Nên thấy ổ khóa thay vì "Not Secure".
- Đăng nhập site, nên thấy ổ khóa thay vì "Not Secure".
Nếu không thấy ổ khóa, có thể do cache. Clear cache theo hướng dẫn – How to Clear WordPress Cache?
f. Check toàn bộ site xem trang quan trọng và chức năng hoạt động tốt. Bao gồm home, blog, checkout, cart, ads, subscription boxes.
Bước 5: Lặp Lại Quy Trên Live Site
2 cách replicate:
1. Dùng BlogVault Merge option merge staging vào live site (cách dễ)
2. Hoặc edit wp-config.php live site theo hướng dẫn – How to Edit wp-config.php File?
Mở wp-config file, chèn code:
define(‘FORCE_SSL_ADMIN’, true);
QUAN TRỌNG: Đảm bảo chèn TRƯỚC dòng: /* That's all, stop editing! Happy blogging. */
3. Đóng file. Hỏi lưu? Chọn Yes.
Xong. Bạn đã gỡ thành công cảnh báo "WordPress login page now secure".
Tại Sao Bạn Thấy "Not Secure" Trên Login & Admin Page?
Thắc mắc – tại sao WordPress login của tôi không an toàn?
Tóm lại: Bạn thấy cảnh báo vì trình duyệt không tin tưởng chứng chỉ SSL của bạn.
Bạn nghĩ: nhưng certificate chạy tốt trên phần còn lại website!
Đó là vì login và admin area là trang quan trọng nhất trên website. Trình duyệt từ chối phục vụ trang này qua chứng chỉ "hạng B".
Đây là những gì bạn làm –
Mở SSL checker Qualys SSL Labs. Nhập URL site, bấm Submit. Nếu kết quả < A+ thì bạn dùng chứng chỉ hạng B.
Nếu dùng self-signed SSL, đây lý do không nên – Risks of Self-Signed SSL. Thà cài SSL từ vendor khác. Xem hướng dẫn chọn SSL tốt.
Nếu quá trình chọn/cài SSL lại quá mệt, xin SSL từ hosting provider và nhờ họ cài hộ.
Có thể SSL hiện tại đã từ hosting provider. Lúc đó, liên hệ họ. Báo về cảnh báo login/admin. Gửi screenshot.
9/10 trường hợp là vấn đề cấu hình certificate. Khả năng cao hosting provider fix dễ dàng nếu bạn chưa tự fix theo phương pháp trên.
Tiếp Theo Là Gì?
Chúc mừng gỡ thành công "Not Secure".
Trước khi tiếp tục, hãy suy ngẫm: SSL có đủ bảo vệ site khỏi hack không?
Gần 10 năm làm việc với hàng nghìn site WordPress, chúng tôi độc quyền trả lời.
Thẳng thắn: không, chỉ SSL KHÔNG bảo vệ website.
Bạn cần plugin bảo mật chuyên biệt.
Plugin như MalCare không chỉ bảo vệ login/admin mà còn quét site hàng ngày phát hiện hoạt động đáng ngờ. Giúp dọn site nếu tìm thấy malware. Cho phép bạn triển khai biện pháp phòng thủ.
Tại sao không thử MalCare?